ASP.NET Core控制器重定向遭CORS策略拦截问题排查与解决

• 你的请求是通过AJAX/XMLHttpRequest发起的跨域请求，浏览器的CORS安全机制会对这类请求做严格校验。
• 你用return Redirect(confirmation_url)返回的是3xx重定向响应，浏览器会自动跟进重定向去请求外部资源，但目标外部资源的服务器没有返回Access-Control-Allow-Origin响应头，导致浏览器拦截了最终的响应。
• 你之前修改HttpContext.Request.Headers完全无效，因为Access-Control-Allow-Origin是响应头，需要添加在服务器返回的响应里；而且就算你给重定向响应加上这个头，也解决不了问题——浏览器最终校验的是外部资源返回的响应头，不是你本地重定向响应的头。

根据你的场景，推荐以下两种方案：

1. 前端直接跳转（优先选择）
   放弃用AJAX请求该控制器接口，改为让前端JS直接处理跳转：

   window.location.href = '你的confirmation_url';
   

   直接页面跳转不属于跨域AJAX请求范畴，浏览器不会触发CORS校验。

2. 后端处理跳转（非AJAX场景）
   如果必须通过后端触发跳转，不要用AJAX请求该接口，改用普通表单提交或者直接从页面发起GET请求（比如a标签跳转），这种情况下浏览器处理重定向时不会触发CORS检查。

注意：如果目标外部资源的服务器不受你控制，你无法通过在自己的后端添加CORS头来解决问题——因为CORS校验的是最终请求目标的响应头，而非中间重定向的响应头。

内容的提问来源于stack exchange，提问作者Александр Попов